Operasyonlar ve Uyumluluk - KYC prosedürleri ve denetim seviyeleri

KYC prosedürleri ve denetim seviyeleri

1) Neden KYC

KYC (Müşterinizi Tanıyın) - iGaming platformunun sorumlu ve güvenli bir şekilde çalışmasının temeli: küçüklerin erişimini önler, dolandırıcılık/aklama risklerini azaltır, lisansların ve ödeme ortaklarının gereksinimlerini destekler, itibarı korur.

• Kimliği ve yaşı onaylayın.
• Oyuncunun temel riskini değerlendirin ve risk bazlı önlemler alın.
• İşlem izlenebilirliğini ve depozit↔vyvod bağlantısını sağlayın.
• Destek AML/Sorumlu Oyun ve sağlayıcı/düzenleyici gereksinimleri.

2) KYC ilkeleri

1. Risk Tabanlı Yaklaşım (RBA): Doğrulama derinliği profile (ülke, ödeme yöntemleri, davranış) bağlıdır.
2. Aşamalı Açıklama: Mevcut risk düzeyinde tam olarak gerektiği kadar veri toplayın.
3. Tasarımın Kanıtı - Tüm kararlar ve belgeler denetim izi olarak kaydedilir.
4. Gizlilik öncelikli: kişisel verilerin en aza indirilmesi, maskeleme, rol ve zaman sınırlı erişim.
5. Yeniden Doğrulama: Risk olayları sırasında tekrarlanan kontroller (sonuçlar, sınırların büyümesi, ayrıntıların değiştirilmesi).
6. Açıklanabilir ve Tutarlı - Kurallar ve istisnalar belgelenir ve doğrulanabilir.

3) Doğrulama seviyeleri (Katmanlı KYC)

KYC0 - Ön kayıt/Sürtünme ışığı

Ülke, yaş (kendi kendine doğrulama), e-posta/telefon (OTP) koleksiyonu.
İsim/telefon/posta ile ön yaptırım/POP taraması (düşük güven).
Sınırlamalar: Para yatırma/çekme yok, sadece bahis olmadan içerik/bonus incelemesi.

KYC1 - Temel tanımlama

Kimlik belgesi (pasaport/kimlik/vod. Kimlik bilgisi) + selfie/biyometrik canlılık (pazara göre).
MRZ/barkod doğrulama, geçerlilik tarihi kontrolü, sorun ülke.
Yaş doğrulama, birincil yaptırım/PEP taraması.
Para yatırma/faiz/çekme limitleri temeldir.

KYC2 - Adres Onayı (PoA)

Adresi onaylayan belge (yardımcı fatura/banka ekstresi/kayıt), gerekirse KBA.
Coğrafi tutarlılık: IP/cihaz/ödeme yöntemi ≈ kayıt adresi.
Genişletilmiş sınırlar ve pin erişimi.

KYC3 - EDD/SoF/SoW

Risk tetikleyicileri ile: büyük cirolar/sonuçlar, VIP, şüpheli kalıplar, yüksek riskli coğrafi/yöntemler.
Fonların kaynağı (SoF) ve servetin kaynağı (SoW): gelir tabloları, maaş, vergiler, tablolar.
Röportajlar/yazılı açıklamalar mümkündür.
Yüksek sınırlara/hızlandırılmış sonuçlara erişim - onaydan sonra.

4) Seviye Yükselişi Tetikleyicileri/Re-KYC

Finansal: Tek para çekme miktarı, dönem cirosu, ödeme yöntemlerinde sık sık değişiklikler.
Davranışsal: anormal kazanç/kayıp profili, gece aktivitesi, birçok kısa seans.
Teknik: Sık cihaz değişiklikleri/IP/ASN, proxy/yüksek riskli ağlar.
Profil: Kaynaklar arasındaki isim/adres/doğum tarihi tutarsızlıkları.
Etkinlik: ödeme ayrıntılarının değiştirilmesi, sınırların büyütülmesi, VIP planının bağlanması.

5) Yaptırımlar, PEP ve olumsuz medya

Tarama: kayıt, KYC1/2/3 tamamlanması, büyük çekilme önce, ayrıntıları değiştirirken.
Referans kitapları güncellendiğinde yeniden değerleme (günlük/haftalık).
Tesadüf mantığı: Sınırda vakaların yakın, manuel triyajı ile bulanık eşleşme.
Kaynaklara/davalara referanslar - kanıtlarda.

6) Belgeler ve alternatifler

Kimlik/pasaport/su. Haklar, PoA: fatura, banka ekstresi ≤ 3 ay

Alternatifler: eID/BankID/proaktif API sağlayıcıları, KBA (bilgi tabanlı), mikrotransaksiyonla onay.
Biyometrik: canlılık kontrolü ile selfie; Biyometri şablonlarını yalnızca gerekirse ve yerel düzenlemelere göre saklayın.
Sapmalar: siyah beyaz kopyalar, süresi dolmuş belgeler, bulanık fotoğraflar - otomatik sapma kuralları.

7) Veri ve Gizlilik

Minimizasyon: sadece gerekli olanı talep ediyoruz; Ayrı KYC eserler ve oyun/pazarlama verileri.
Erişimler: RBAC/ABAC, dosya okuma/sorun günlükleri, filigranlar.
Tutma: yargı/lisans ile (genellikle son ameliyattan 5 + yıl sonra).
Şifreleme: Dururken/aktarılırken, HSM/Vault'taki anahtarlar, görüntüleme için geçici URL'ler.
Veri konusu istekleri: Kabul edilebilir sınırlar dahilinde ihracat/düzeltme/silme için SLA.

8) Kontroller-/Kod Olarak Politika (parçalar)

yaml policy_id: KYC-TIERING-001 tiers:
- name: KYC1 allow: deposits<=base_limit & withdrawals<=0 require: [id_doc, selfie_liveness, sanctions_check]
- name: KYC2 allow: deposits<=mid_limit & withdrawals<=mid_limit require: [proof_of_address, ip_geo_consistency]
- name: KYC3_EDD allow: deposits<=high_limit & withdrawals<=high_limit require: [source_of_funds, enhanced_screening]
overrides:
- country: <ISO>
set: {mid_limit: <amount>, high_limit: <amount>}
review_sla_days: 180 owner: head_of_compliance

yaml control_id: KYC-REVERIFY-PAYOUT scope: payouts trigger:
expr: payout_destination_changed==true actions:
- block: payout
- request: "kyc_level>=KYC2"
- notify: aml_ops evidence:
fields: [old_dest,new_dest,kyc_level,player_id]

yaml control_id: SANCTIONS-RESCREEN scope: player_profile trigger:
expr: sanctions_list_version_updated==true OR risk_band>=high actions:
- rescreen: full
- flag: manual_review_if_score>threshold

9) SOP (parçalar)

SOP: KYC1 doğrulanması

1. Paket bütünlüğünü kontrol edin (ID + selfie, meta veri indir).
2. Belgeyi doğrulayın (MRZ/barkod, tarih, ülke), tam adı doğrulayın/DR.
3. Maç özçekimi (yüz maçı, canlılık).
4. Yaptırımları ortadan kaldırmak/RAP; kibrit durumunda - triyaj.
5. KYC1 atayın, sınırları güncelleyin, kanıtları kaydedin.

SOP: KYC2 (PoA)

1. 90 gün ≤ belgeyi, geçerli formatta/dilde adresi kontrol edin.
2. Adresi IP/cihaz/ödeme yöntemleriyle eşleştirin.
3. KYC2 yayınlayın, sınırları/çıktıları genişletin, kanıtları kaydedin.

SOP: EDD/SoF (KYC3)

1. Belge listesi (maaş/vergiler/beyanlar) ve açıklamalar isteyin.
2. Miktarları/frekansları/kaynakları satış hacmi ve profiliyle eşleştirin.
3. Çözüm: Onayla/Kısıtla/Kapat; Şüphe üzerine - SAR/AML süreci.
4. Risk profilini, sınırları, kanıtları güncelle.

10) Entegrasyonlar

KYC sağlayıcıları: IDV, PoA, biyometrik, yaptırımlar/PEP (toplu + olay odaklı).
Ödemeler: Kaynaktan kaynağa kontrol, hız, KYC tamamlanana kadar tutar.
AML/Vaka yönetimi: ortak oyuncu kartı, statüler, SLA.
CRM/Destek: iletişim şablonları, KYC, ETA ve dunning durumları.
DWH/BI: KYC etkinliklerinin vitrinleri, lisans dönemleri hakkında raporlama.

11) KPI/OKR

• KYC1 medyan TAT, KYC2 PoA TAT, EDD Dönüş, Re-KYC TAT.
• Otomatik Geçiş Oranı (manuel katılım olmadan), Manuel Kuyruk (manuel paylaşım).
• Onaylanmış vakalarda Yaptırımlar/PEP Isabet Oranı ve Hassasiyet.

• Belgelerin Yanlış Reddetme Oranı, Belge Kalitesi Başarısız %.
• Uyumsuz IP/Adres sıklığı, KYC nedeniyle Ödeme Engellendi (kilidini açmak için medyan zaman).
• Kanıt Tamlığı ≥ %98

• KYC Adımlarla bırakma, KYC süreçleriyle CSAT/NPS.

12) Kontrol listeleri

• Veri onayları/kabul edilen politikalar.
• İlk yaptırım taraması yapıldı.
• İletişim kanalları onaylanmıştır (OTP/e-posta).

• Geçerli kimlik ve selfie, geçti canlılık.
• İsim/DR/ülke maçı.
• Yaptırımlar/REP: "açık" veya triyaj yolu.

• PoA taze ve okunabilir; adres normalleştirildi.
• Coğrafi tutarlılık (IP/cihaz/ödeme yöntemi).

• Belgelerin tamamı, miktarlar ciroya karşılık gelir.
• Karar ve gerekçe sabit (kanıt), risk profili güncellendi.

• Sebep ve tarih, kilitler/sınırlar doğru uygulanır.
• Oyuncuya gönderilen iletişim (ETA/adımlar).

13) Anti-desenler

Herkes için evrensel'ağır "test - yüksek arızalar ve maliyetler.
SLA/günlükleri ve çift kontrol olmadan manuel kontroller.
Biyometri/belgelerin katı gerekçeler ve saklama olmaksızın depolanması.
Ödemelerle hiçbir bağlantısı yoktur: KYC2/3 önce para çekme mümkündür.
Yaptırımlar ve olay yeniden KYC yeniden tarama eksikliği.
Gerçeğin iki versiyonu: Excel'de KYC ve DWH'de yerleştirme olmadan işlem verileri.

14) 30/60/90 - uygulama planı

• KYC politikasını onaylayın (katmanlar, tetikleyiciler, SLA, tutma).
• IDV/yaptırımlar/PEP bağlayın, KYC1 ve PoA akışını çalıştırın.
• Controls-as-Code'u kurun: Ödeme değişikliği, yaptırım yeniden oluşturma için yeniden KYC.
• Kanıt depolamayı ve RBAC'yi etkinleştirin.

• EDD/SoF süreçleri, champlon iletişimi ve vaka yönetimi.
• Ödemelerle entegrasyon (kaynaktan kaynağa, hız), KYC2/3'e kadar otomatik blok.
• KPI panoları (TAT, Otomatik geçiş, Manuel Kuyruk, Hit-Rate).
• Pilot biyometrik canlılık/BankID (varsa).

• Manuel Kuyruk azaltma ≥ %30, KYC1 medyan TAT ≤ hedefi, Yanlış Reddetme ↓.
• Re-KYC ve yaptırım yeniden tarama düzenlemeleri, uyum denetimi.
• KPI'yı OKR komutlarına bağlama (Uyumluluk/Ops/Ödemeler/Destek).

15) SSS

S: Bir adres (PoA) ne zaman istenir?
C: Mevduat/sonuç eşiğine ulaşıldığında, coğrafi/yöntem uymuyor veya ülkenin/lisansın gereksinimlerine göre.

S: SoF/SoW ne zaman gerekli?
C: Yüksek RPM/VIP'de, anomaliler, yüksek riskli coğrafi/yöntemler, büyük çekilmeden önce.

S: KYC'deki arızalar nasıl azaltılır?
C: Mobil istemler/ocr doğrulama, net fotoğraf gereksinimleri, BankID/eID desteği, adım ayrımı, hızlı geri bildirim.

S: Gizlilik nasıl korunur?
C: En aza indirme, şifreleme, sıkı RBAC/erişim günlükleri, otomatik saklama ve silme politikası.